McAfee MVISION EDR

本文件說明如何將 McAfee MVISION EDR 與 Google SecOps 整合。

在 Google Security Operations 中設定 McAfee MVISION EDR 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

如何產生用戶端 ID 和用戶端密鑰

如要進一步瞭解如何產生用戶端 ID 和用戶端密鑰，請參閱 McAfee MVISION EDR 整合文件。

應用實例

1. 擷取 Trellix EDR 威脅和偵測資料，用於建立 Google SecOps 警告。接著，在 Google SecOps 中，警示可用於透過應對手冊或手動分析執行自動化調度管理。
2. 執行擴充動作：從 Trellix EDR 取得資料，擴充 Google SecOps 快訊中的資料。
3. 執行主動動作：使用 Google SecOps 的 Trellix EDR 代理程式隔離主機。

動作

乒乓

說明

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Trellix EDR 的連線能力。

參數

不適用

應用實例

這項動作可用於在 Google SecOps Content Hub 頁面的整合設定頁面測試連線能力，並可做為手動動作執行，不適用於教戰手冊。

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

充實端點

說明

依主機名稱或 IP 位址擷取端點的系統資訊。

參數

不適用

執行日期

這項動作會對下列實體執行：

• IP 位址
• 主機名稱

動作執行結果

指令碼執行結果

JSON 結果

{
    "total": 9,
    "skipped": 0,
    "items": 1,
    "hosts": [
        {
            "maGuid": "3975892D-E16D-45C0-8795-164CFDF27946",
            "hostname": "AWS-LT-EDR1",
            "os": {
                "major": 10,
                "minor": 0,
                "build": 18362,
                "sp": "",
                "desc": "Windows 10"
            },
            "lastBootTime": "2020-02-24T21:41:38Z",
            "netInterfaces": [
                {
                    "name": "Ethernet 2",
                    "macAddress": "02:33:86:c2:6b:d4",
                    "ip": "10.0.3.212",
                    "type": 6
                }
            ],
            "traceExtendedVisibility": 0
        }
    ]
}

實體資料充實

深入分析

不適用

隔離區端點

說明

根據 Google SecOps IP 位址或主機名稱實體，在 Trellix EDR 伺服器上建立隔離端點工作。

Trellix 已知問題

參考資料：Trellix EDR 已知問題

隔離連上 VPN 的端點後，該端點會無法連線。無法傳送「結束隔離」回應。

解決方法：

1. 實際接觸端點。
2. 從「新增和移除程式」解除安裝 EDR 用戶端。
3. 再次安裝 EDR 用戶端。

參數

不適用

執行日期

這項動作會對下列實體執行：

• IP 位址
• 主機名稱

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

解除隔離端點

說明

根據 Google SecOps IP 位址或主機名稱實體，在 McAfee MVISION EDR 伺服器上建立取消隔離端點工作。

Trellix 已知問題

參考資料：Trellix EDR 已知問題

隔離連上 VPN 的端點後，該端點會無法連線。無法傳送「結束隔離」回應。

解決方法：

1. 實際接觸端點。
2. 從「新增和移除程式」解除安裝 EDR 用戶端。
3. 再次安裝 EDR 用戶端。

參數

不適用

執行日期

這項動作會對下列實體執行：

• IP 位址
• 主機名稱

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

移除檔案

說明

從端點移除檔案。

動作執行已知問題

McAfee 可能不會移除檔案，但 WebUI 仍會顯示動作已成功執行。下列問題可能與代理程式權限有關。請確認代理程式具備必要權限，然後再試一次。

參數

執行日期

這項動作會對下列實體執行：

• IP 位址
• 主機名稱

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

停止並移除內容

說明

依 PID 停止解譯器程序 (例如 Python 或 Bash)，並在 McAfee MVISION EDR 上依完整路徑移除相關聯的指令碼。

動作執行已知問題

McAfee 可能不會移除或終止相關檔案，但 WebUI 仍會顯示已成功執行動作。下列問題可能與代理程式權限有關。請確認代理程式具備必要權限，然後再試一次。

參數

執行日期

這項動作會對下列實體執行：

• IP 位址
• 主機名稱

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

終止程序

說明

停止執行中的程序並移除其檔案。如果程序未執行，則只會從受管理的端點移除檔案。

參數

執行日期

這項動作會對下列實體執行：

• IP 位址
• 主機名稱

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

關閉威脅

說明

在 Trellix EDR 中關閉威脅。

參數

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

連接器

McAfee MVISION EDR - Threats 連接器

說明

Trellix EDR 威脅會隨著時間更新，納入新的偵測結果。目前，如要處理新的偵測結果，您必須關閉威脅。這樣一來，Trellix EDR 就會建立新的威脅，並將其與這些新的偵測結果一起擷取到 Google SecOps。在其他情況下，威脅擷取後新增的偵測項目不會在 Google SecOps 中提供。

在 Google SecOps 設定 McAfee MVISION EDR - Threats 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。